Montrouge, le 30/11/2020 Référence courrier **: CODEP-DCN-2020-049727**
Monsieur le Directeur du projet Flamanville 3 EDF/DIPNN/Direction du projet Flamanville 3 97 avenue Pierre Brossolette 92 120 MONTROUGE **CEDEX**
OBJET : **Contrôle des installations nucléaires de base**
EDF/DIPNN/Direction du projet Flamanville3/Projet FLA3 Inspection INSSN-DCN-2020-0300 du 05/10/2020 Thème : R.2.3 Conduite accidentelle RÉF. : [1] Code de l'environnement, notamment son chapitre VI du titre IX du livre V
[2] Arrêté du 7 février 2012 modifié fixant les règles générales relatives aux installations nucléaires de base [Arrêté INB]
[3] Directive interne EPR référencée D455112000037 [2] [DI EPR 001] [4] Note Edvance référencée D305115046367 [B] : Plan Qualité de Conception des documents de Conduite Incidentelle Accidentelle
[5] Note EDF réferencée ECEF070498 [A] : Processus CIA EPR - Interface avec la qualification
[6] Note EDF réferencée D455034101237 [0] : Note de doctrine CIA [7] Note Edvance réréfencée FA3-DITFCS-2020-FR-0157 [A] : Guide de gestion des FMP [8] Note EDF référencée D305115029772 [A] : Organisation du jeu de règles CIA [9] Note EDF référencée D455115001446 [0] : Validation à blanc des fiches locales APE [10] Note Edvance référencée FA3-DITFCS-2019-FR-0018 [A] : Caractérisation fonctionnelle du simulateur TREFLE v4.5
[11] Note Edvance réferencée FA3-DITFCS-2020-FR-0141 [A] : Bilan des vérifications des consignes sur le simulateur en 2019

## Monsieur Le Directeur,

Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base (INB) prévu à l'article L. 592-21 du code de l'environnement, une inspection a eu lieu les 5, 6 et 7 octobre 2020 dans les locaux d'Edvance à Montrouge sur le thème de la « Conduite incidentelle et accidentelle ». Je vous communique ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui en résultent.

## Synthèse De L'Inspection

Les inspecteurs ont examiné l'organisation et les moyens mis en place par Edvance pour assurer la gestion du chapitre VI des règles générales d'exploitation (RGE) consacré aux règles de conduite incidentelle et accidentelle (CIA) du réacteur EPR de Flamanville 3 et le processus d'élaboration de ces documents de CIA. Cette inspection a été l'occasion pour les inspecteurs de mesurer le niveau élevé de professionnalisme des membres du groupe CIA et leur maîtrise approfondie de leurs sujets respectifs. La structure et les outils mis en place en interne par Edvance permettent à chaque membre du groupe CIA d'évoluer dans un environnement professionnel propice à l'échange et à la capitalisation des compétences nécessaires à la maîtrise de la CIA. Le groupe CIA bénéficie aussi de liens bien établis avec les autres acteurs impliqués dans la CIA (exploitant, service formation, simulateur).

Les inspecteurs retiennent que la maîtrise de l'activité relative à la gestion de la documentation de CIA repose fortement sur la compétence des équipes. Cette dépendance pourrait s'avérer problématique lorsqu'il s'agit d'identifier les actions réalisées ou à réaliser en l'absence des ressources dédiées et de vérifier leur bonne réalisation. Les inspecteurs soulignent l'effort entrepris récemment par le groupe CIA pour produire et mettre à jour les notes qualité, guides et méthodes relatifs aux activités d'élaboration des procédures CIA. Cet effort doit être poursuivi. Les dispositions mises en œuvre pour mettre à jour les documents de CIA ainsi que pour assurer la traçabilité des actions à réaliser après la découverte d'anomalies susceptibles d'affecter la cohérence des documents de CIA, présentent des fragilités. Les contrôles réalisés par sondage par les inspecteurs montrent qu'aucune analyse des causes des anomalies détectées n'est engagée ; les anomalies du même type ne sont pas recherchées et aucune parade n'est mise en place pour éviter leur reproduction. Le simulateur joue un rôle primordial dans le processus d'élaboration et de vérification des procédures de CIA. Il constitue, avec les validations à blanc sur site des consignes de conduite, le dernier maillon du processus pour piéger les anomalies dans les documents opératoires de CIA. Le potentiel de cet outil doit être mieux exploité afin de pallier au manque de retour d'expérience en termes de conduite incidentelleaccidentelle des réacteurs de type EPR.

La validation des consignes CIA a pour objectif de s'assurer que les procédures de conduite permettent de gérer une situation incidentelle ou accidentelle. Cette gestion inclut la conduite de l'installation vers un état de repli sûr permettant une réparation si nécessaire. Le programme de validation du jeu de consignes CIA n°6 ne permet pas d'atteindre pleinement cet objectif. Ce programme doit être complété afin d'assurer le caractère satisfaisant des consignes CIA relatives à la demande d'autorisation de mise en service du réacteur EPR de Flamanville 3. Enfin, compte tenu de la situation sanitaire en cours, les inspecteurs soulignent positivement la préparation et l'organisation de cette inspection par Edvance. Vous trouverez en annexe les demandes et observations issues de cette inspection. Vous voudrez bien me faire part de vos réponses concernant ces points dans un délai maximum de **deux mois** ainsi que des dispositions que vous prendrez pour remédier aux constatations susmentionnées. Pour les engagements que vous prendriez, je vous demande de les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Conformément à la démarche de transparence et d'information du public instituée par les dispositions de l'article L. 125-13 du code de l'environnement et conformément à l'article R.596-5 du code de l'environnement, je vous informe que le présent courrier sera mis en ligne sur le site Internet de l'ASN (www.asn.fr). Je vous prie d'agréer, Monsieur le directeur, l'assurance de ma parfaite considération.

Signée par la cheffe du bureau « exploitation » de la direction des centrales nucléaires, Aline FRAYSSE

## A. Demandes D'Actions Correctives Processus De Gestion Des Modifications Des Procédures Cia

La directive interne [3] définit les exigences applicables aux produits du référentiel d'exploitation pour le CNPE de Flamanville 3. Le référentiel d'exploitation, en cours de construction, « *est un ensemble répertorié de produits porteurs d'exigences* approuvées par la direction de la DPN ou par la direction du CNPE Flamanville 3, qui s'imposent au CNPE, et de produits de référence qui *orientent l'action et donnent le sens* ». « A ce titre, la Directive contribue à la conformité réglementaire vis-à-vis des dispositions de la démonstration de protection des intérêts. La Directive structure et pilote les produits du référentiel *pour* Flamanv*ille 3, afin d'en maîtriser l'évolution et d'en faciliter la mise en application par le CNPE* ».

Cette directive interne encadre également l'organisation mise en place par Edvance pour assurer le pilotage, la maîtrise et le reporting de l'intégration des documents prescrits ou à prescrire au CNPE de Flamanville 3. La note [4] détaille le plan qualité de conception (PQC) applicable aux activités relatives à l'élaboration des procédures CIA du chapitre VI des RGE pour le CNPE de Flamanville 3. Elle est établie pour la période 2015 jusqu'à la production documentaire état « *autorisation de chargement* ». Un guide de gestion des modifications des procédures CIA [7] est mis à disposition des acteurs de ces activités. Les inspecteurs ont procédé au contrôle de ces activités d'élaboration et de modidication de ces procédures qui sont classées AIP (activité importante pour la protection, telle que défini à l'article 1.3 de l'arrêté en référence [2]). Les inspecteurs notent que le processus de gestion de la documentation de la CIA est allégé et fluide et que l'organisation et les moyens mis en place par Edvance sont adaptés. Ils soulignent que la méthode appliquée pour l'analyse et le remplissage des fiches de modification de procédures (FMP) CIA est efficace. Les inspecteurs pointent cependant le manque de méthodologie tracée permettant de :
- s'assurer de l'absence d'impact des modifications matérielles ou organisationnelles réalisées sur site sur l'applicabilité des fiches locales de manœuvre des organes nécessaires en CIA préalablement validées par l'activité de « validation à blanc ». Les informations nécessaires à l'identification de l'impact (locaux et matériels utilisés) sont disponibles mais l'absence de méthodologie interrogative implique que leur utilisation repose uniquement sur le professionnalisme des acteurs ;
- s'assurer de l'adéquation des justifications des règles CIA avec leur rôle de précision des choix techniques sans paraphraser les logigrammes. Le mode de preuve associé à la vérification de ce point est manquant ;
- mesurer l'impact d'une FMP intégrée sur les transitoires impactés par cette modification. L'analyse d'impact de la modification sur les chemins sûrs est prévue par la gestion de la FMP et vos représentants ont indiqué qu'elle etait toujours réalisée. Mais cette étude d'impact repose uniquement sur le professionnalisme des acteurs impliqués dans la modification sans qu'aucune méthodologie formelle ne soit définie ni appliquée.

Par ailleurs, chaque choix retenu lors de la conception ou des modifications des règles CIA doit être justifié afin de garantir la qualité pédagogique des règles de conduite CIA et de satisfaire pleinement l'exigence de complétude et de clareté des justifications de ces règles. Je vous rappelle que la partie II de l'article 2.5.2 de l'arrêté INB [2] stipule que « *Les activités importantes pour* la protection sont réalisées selon des modalités et avec des *moyens permettant de satisfaire a priori les exigences définies pour ces* activités » et l'article 2.5.6 du même arrêté stipule également que : « Les activités importantes pour la protection, leurs contrôles techniques, les actions de vérification et d'évaluation font l'objet d'une documentation et d'une traçabilité permettant de démontrer a priori et de vérifier a posteriori le respect des exigences définies ».

Les processus ainsi que les bonnes pratiques doivent être mieux formalisés car la pérennité de ce mode de fonctionnement, très dépendant des compétences accumulées par les membres du groupe, n'est pas assurée en cas de modification significative dans les équipes d'Edvance. Demande A1 : Je vous demande d'intégrer dans le **processus de gestion des modifications des** procédures CIA la méthodologie ou le guide de bonne pratique qui décrit toutes les étapes d'analyse et de traitement documentaire afin de respecter les dispositions des articles 2.5.2 et 2.5.6 de l'arrêté INB [2]. **Vous me transmettrez le processus mis à jour.**

## Concordance Entre Les Études De Sûreté Et Les Procédures Cia

Le rapport de sûreté (RDS) indique que « la conduite incidentelle-*accidentelle doit permettre à l'opérateur d'effectuer ces* actions manuelles de conduite dans le temps imparti dans les études d'accident… » (§0.3 du sous-chapitre 13.3 du RDS) mais la note de validation à blanc des fiches locales de la CIA [9] ne prévoit pas « *la mesure de temps de parcours,* d'intervention en local, de communication au sein des équipes… » (§6.3.12). Il incombe au concepteur de la CIA de s'assurer que les actions manuelles de conduite (en salle de commande et sur le terrain) demandées dans les accidents étudiés dans le rapport de sûreté soient effectuées dans le temps prévu par les études de ces accidents. Demande A2 : Je vous demande de garantir la concordance entre ce qui est écrit dans le RDS en termes de temps alloué à un scénario donné par rapport au temps nécessaire à la réalisation des actions demandées en CIA. Vous indiquerez dans votre réponse les modalités mises en place pour garantir cette concordance. Le PQC en référence [4] attribue à la direction technique (DT) le rôle de garant de la cohérence entre le jeu de règles CIA et les études d'accidents. L'équipe CIA de la DT/DIPNN assure la vérification de la compatibilité des règles CIA avec les études d'accidents. Lors de l'inspection, vos représentants à la DT n'ont pas été en mesure de justifier comment était assuré ce rôle ou de transmettre aux inspecteurs les documents qui tracent l'accomplissement de ce rôle. Demande A3 : Je vous demande de me transmettre les éléments justificatifs permettant d'assurer la cohérence entre le jeu de règles CIA et les études d'accidents. Les études de sûreté, les systèmes élémentaires, l'instruction des autres chapitres des RGE et le REX interne CIA génèrent chacun à leur niveau des évolutions à opérer sur les documents CIA. Lors des modifications desdits documents CIA, le comité de libération des FMP interne à Framatome scrute les éventuels impacts des modifications des documents CIA sans toutefois formaliser et tracer la vérification des impacts réels des modifications sur les chemins sûrs des études d'accident définis dans le RDS. Demande A4 : Je vous demande d'intégrer dans votre processus de conception **et de modification** de la conduite incidentelle **accidentelle une étape de vérification systématique des impacts réels** des modifications des documents CIA sur les chemins sûrs et de manière globale sur le RDS. La réalisation de cette étape devra être systématque**ment tracé lors de l'analyse de toutes les** modifications de documents CIA.

## Organisation Mise En Place Par Le Groupe Cia

L'organisation mise en place au sein du groupe CIA composé d'acteurs expérimentés et de nouveaux arrivants fonctionne bien et les sujets paraissent maîtrisés. Les relations entre les deux pôles (règles et consignes) sont fluides. Les liens avec les autres acteurs (exploitant, service formation, simulateur) semblent bien établis par des échanges de courriels le plus souvent. Le PQC [4] indique que « *des réunions régulières de pilotage du lot documentaire (PLD) permettent d'identifier pour chaque* évolution (modification *matérielle, écart, instruction) l'impact sur la documentation CIA* ». A leur demande, les inspecteurs ont examiné les trois derniers compte-rendus de réunions PLD en date du 10/09/2020, 27/08/2020 et 23/07/2020. Pour ces trois réunions, il apparaît que les participants sont souvent les mêmes et ceci afin d'assurer la cohérence des discussions dans le temps. Les débats techniques se déroulent entre services concernés avant/après ces réunions.

Cependant pour les trois compte-rendus de réunions examinés, aucun membre du groupe CIA n'était présent et le traitement des sujets se limite souvent à des références à des courriels identifiés par prénom/nom et par une date. La traçabilité des décisions prises lors des réunions PLD n'est pas assurée. Par ailleurs, le PQC [4] indique que la validation de la caractérisation des FMP et de leur lotissement est réalisée lors de « réunion de tri ». Il est apparu au cours des échanges avec vos représentants que ces réunions ne donnent pas lieu à un compte-rendu à proprement parlé. Les sujets évoqués lors de ces réunions sont tracées par des courriels qui récapitulent les FMP traitées en y associant un argumentaire technique de quelques phrases. Ces explications sont toutefois reprises dans la base de données MANTIS qui gère les FMP afin d'assurer, en partie, la traçabilité des décisions prises au cours de ces réunions. Les inspecteurs notent favorablement qu'un effort est fourni par vos services afin de lotir dès que possible certaines modifications en avance de phase par rapport à leur critère de tri. Les inspecteurs notent également qu'au regard des POC (point ouvert consigne, fiche qui trace les anomalies impactant les consignes CIA) ouverts du fait d'une erreur de compréhension entre règle et consigne, les réunions de convergences règles/consignes revêtent un caractère primordial. Demande A5 **: Je vous demande de mettre en place les dispositions nécessaires à la traçabilité des** échanges entrepris dans le cadre de vos **activités de conception et de modification de la conduite** incidentelle-accidentelle que ce soit en interne au groupe CIA ou avec les autres instances du projet EPR.

## Gestion Du Retour D'Expérience Et Analyse Des Causes Profondes Des Anomalies

L'exploitation du retour d'expérience (REX) n'est pas explicitée dans le PQC [4] applicable aux activités relatives à l'élaboration des procédures CIA du chapitre VI des RGE pour le CNPE de Flamanville 3. L'intégration du recueil et de l'exploitation du retour d'expérience au sein de votre système de management intégré est prescrite par l'article 2.4.1 de l'arrêté en référence [2]. Les inspecteurs relèvent que peu de REX est tiré de l'activité de modification des documents de la CIA (POC et FMP) et que les éléments identifiés « REX interne » sont en fait des vérifications (respectivement relectures) à l'initiative du rédacteur (respectivement référent) de consigne/règle mais pas des analyses de REX. Demande A6 : Je vous demande d'intégrer le recueil et la gestion du **retour d'expérience dans le** processus de conception et de modification des documents de conduite accidentelle-accidentelle. Par ailleurs, les contrôles réalisés par sondage lors de l'inspection montrent que les anomalies (POC et FMP) reportées dans les outils utilisés par le groupe CIA d'Edvance ne sont pas soumises à une analyse des causes profondes des origines de l'écart. Les anomalies du même type ne sont ni recherchées, ni corrigées et aucune parade n'est mise en œuvre pour éviter leur reproduction. Demande A7 : Je vous demande d'intégrer la définition d'**actions correctives, curatives et** préventives dans le processus de traitement des anomalies impactant les documents de conduite accidentelle.

## Validation Sur Simulateur Des Consignes Cia

La validation des consignes CIA s'inscrit dans le cadre du processus global historique d'élaboration des procédures de conduite incidentelle-accidentelle de l'EPR [5]. Ses principales activités s'enclenchent selon le processus itératif simplifié suivant : L'utilisation du simulateur TREFLE (v4.5 cf. note [10]) permet de procéder à des validations des consignes CIA. En 2019, Edvance a testé sur simulateur près de vingt-sept scénarios [11] basés sur cinq critères de choix : scénario courant/probable (arrêt automatique du réacteur, perte de fonction support), scénario classique (REX parc), scénario lié à des spécificités EPR (perte de tableau 10kV secouru), scénario pour vérifier la couverture du jeu de règles, scénario suite à évolution majeure depuis le DMES.

Cette campagne de validation sur simulateur avait pour objectifs de confirmer que les consignes CIA
répondent aux exigences spécifiées pour l'utilisation prévue et de s'assurer que les consignes CIA permettent aux opérateurs de gérer une situation incidentelle-accidentelle. La gestion complète d'une situation incidentelle-accidentelle inclut l'atteinte de l'état de repli sûr et le retour vers la conduite normale ou vers l'état de réparation si l'état de l'installation le permet ou sinon vers la gestion de l'accident grave. Pour des raisons liées aux contraintes organisationnelles (séance simulateur sur une demi-journée), l'atteinte de l'état de repli sûr n'a pas été pas systématiquement visée lors de cette campagne de validation des consignes sur simulateur. Pourtant, « La CIA doit permette la conduite et le maintien de l'installation vers un *état* d'arrêt sûr. Le passage de l'état contrôlé vers l'état d'arrêt sûr doit être démontré pour chaque PCC… » (§2.1.2 du souschapitre 15.0 du RDS).

Demande A8 : Je vous demande d'inclure dans votre programme de validation de scénarios incidentels-accidentels sur simulateur la vérication de la bonne **atteinte de l'état de repli sûr par** les consignes CIA. Par ailleurs, la vérification du bon retour vers la conduite normale ou vers l'état de réparation de l'installation suite à la sortie de la CIA n'a pas été testée dans cette campagne bien que cette situation soit la plus probable. Demande A9 : Je vous demande d'inclure dans votre programme de validation **de scénarios** incidentels sur simulateur des tests d'opérabilité du retour à la conduite normale **ou à l'état de** réparation suite au déroulement des consignes CIA. La campagne 2019 de validation des consignes CIA sur simulateur a permis de détecter des situations de blocage dans les modules de conduite, des répartitions inégales de charge entre les opérateurs ou des temporalités trop courtes pour réaliser l'ensemble de tâches de conduite demandées dans ces modules. Elle est à l'origine d'environ soixante observations nécessitant une analyse approfondie dont le traitement peut impacter les règles et les consignes de conduite. Cette campagne de validation des consignes sur simulateur est identifiée comme l'action de « vérification des consignes » du processus itératif simplifié [5] par le rédacteur/vérificateur/approbateur du document « Bilan des vérifications des consignes sur le simulateur en 2019 » [11]. La confusion - voire le mélange - entre les actions de « vérification des consignes » et de « validation des consignes » du processus itératif d'élaboration de la CIA fragilise ce processus déjà simplifié et limite son efficacité. Si la vérification des consignes permet de s'assurer qu'elles sont conformes aux règles de conduite, la validation des consignes a pour objectif de s'assurer que les procédures de conduite (règles et consignes) permettent de gérer une situation incidentelle-accidentelle. Ainsi, les anomalies détectées dans la phase de « validation des consignes » doivent alimenter l'entrée du processus itératif d'élaboration de la CIA par l'action « rédaction des règles ». Ce qui n'est pas le cas dans la phase de « vérification des consignes » dont les anomalies viennent alimenter l'action « rédaction des consignes ». Cette confusion, détectée par les inspecteurs dans les documents de conception de la CIA et confirmée en interrogeant les acteurs de la conception des documents de la CIA au moment de l'inspection, remet en cause l'assurance du caractère satisfaisant du jeu de consignes CIA. Demande A10 : Je vous demande de définir un programme de validation élargie **permettant** d'assurer le caractère satisfaisant des consignes de conduite incidentelle-accidentelle. Ce programme doit couvrir le jeu de consignes CIA prévu pour la demande d'autorisation de **mise en** service du réacteur n°3 du CNPE de Flamanville. Je vous demande de me transmettre ce programme.

## Respect Des Exigences De L'Arrêté Inb En Termes De Vérification Des Consignes Cia

Les activités relatives à l'élaboration des procédures CIA du chapitre VI des RGE pour le CNPE de Flamanville 3 et détaillées dans le PQC [4] sont des activités importantes pour la protection des intérêts. Ainsi, conformément à l'article 2.5.4 de l'arrêté en référence [2], la vérification des consignes de conduite ne doit pas être réalisée par la même personne que celle qui assure le contrôle technique ou que celle ayant rédigé ou modifié cette consigne. Si le PQC attribue le rôle de vérification des consignes sur simulateur au pôle « consignes » du groupe CIA comme le montre cet extrait [« Les principaux acteurs *impliqués pour l'élaboration des documents de conduite incidentelle* accidentelle sont : … Le pôle Consignes du groupe CIA du service FCS, qui assure le pilotage de l'élaboration des consignes CIA. Il veille à la bonne déclinaison des règles de conduite, à l'ergonomie des consignes et à la vérification des consignes *sur* simulateur ». (§3.5 du PQC [4])], une vigilance particulière doit être apportée à la séparation des tâches de modification, contrôle technique et vérification des consignes. Pourtant, durant la campagne 2019 de vérification des consignes sur simulateur [11], l'actuel chef du pôle « consignes » a participé aux séances n°5, 6 et 20 en tant que testeur des consignes « opérateur réacteur ». Etant pilote de l'activité « Mise à jour des consignes CIA » (§2.3.1 du PQC [4]), son implication dans la vérification des consignes sur simulateur n'est pas compatible avec les exigences de l'article 2.5.4 de l'arrêté INB [2].

Durant cette même campagne de vérification, l'actuel référent du pôle « règles » (respectivement 
« consignes ») a participé aux séances n°8 et 23 (respectivement n°9, 11, 14, 15, 25, 26, 27 et 28) en tant que testeur des consignes « opérateur eau-vapeur » et « superviseur » (respectivement « opérateur eau-vapeur », « superviseur » et « ingénieur sûreté »). Les séances n°8 et 23 (séisme et manque de tension) sont pourtant en lien direct avec les responsabilités du référent du pôle « règles ». Demande A11 : Je vous demande de prendre les dispositions nécessaires pour respecter **les** exigences de l'article 2.5.4 de l'arrêté INB [2] en termes de séparation des tâches de modification, contrôle technique et vérification de vos activités importantes pour la protection des intérêts en matière d'élaboration et de modification des procédures CIA.

## Sécurité Du Personnel De Conduite

La note de doctrine [6] précise les exigences à satisfaire lors de l'élaboration ou lors de la modification de procédures de conduite incidentelle-accidentelle. Parmi ces exigences, la priorité est donnée à la sécurité du personnel, puis à la sûreté. Ainsi, « *…la CIA doit concilier explicitement les enjeux liés à la sécurité du personnel, puis* les enjeux liés à la sûreté de l'installation, à la radioprotection et à l'environnement… » (§7 du [6] : Objectifs de la CIA). En cas d'accident, les procédures de conduite prévoient l'envoi des agents de terrain pour manœuvrer des organes en local, sans leur expliquer la situation ni les risques encourus pour leur propre sécurité ni les informations nécessaires pour qu'ils puissent adopter une démarche prudente (point sécurité, briefing sur la situation, etc.). Les inspecteurs notent que le « risque sécurité » est identifié dans l'analyse des FMP. Néanmoins, l'analyse du risque pour le personnel prend en compte l'état de l'instalation quand elle est dans sa configuration normale et ne couvre pas les situations dégradées induites par l'accident. Demande A12 **: La sécurité des personnes faisant partie des exigences de la CIA dès sa conception,** je vous demande de prévoir toutes les mesures permettant de protéger les agents de terrain contre les risques encourus lors de l'exécution des fiches de manœuvre en situation d'incident ou d'accident, notamment en leur communiquant les informations de sécurité adaptées à la situation en cours.

## Mise À Jour De La Documentation De Cia :

Les inspecteurs déplorent le retard dans la mise à jour des notes relatives au processus de conception et de modification de la CIA. Ils soulignent néanmoins l'effort entrepris récemment par le groupe CIA du service fonctionnement conduite simulateur (FCS) pour pallier ce retard. A titre d'exemple, le PQC [4] à l'indice A, applicable au moment de la transmission du jeu de règles CIA JR7 du DA DMES à l'ASN pour autorisation, ne couvrait pas les activités « consignes ». Cette activité importante pour la protection des intérêts se déroulait sans exigence définie au sens de l'article 2.5.6 de l'arrêté en référence [2]. La mise à jour du PQC [4] en juillet 2020 a permis de couvrir cette activité. Le contrôle de la documentation relative à la CIA a par ailleurs permis de relever les points suivants :
- Le Processus CIA EPR - Interface avec la qualification [5] parle toujours de l'échéance « rapport préliminaire de sûreté (RPS). Cette note qui constitue le levier principal du processus de conception de la CIA n'est plus d'actualité et ne peut pas en l'état couvrir les exigences de l'article 2.5.6 de l'arrêté en réfrence [2] ;
- Le PQC des documents de CIA [4] fait référence à la DI EPR 001 [3] à un indice non applicable ; - La note d'organisation du jeu de règles CIA [8] fait référence au rapport préliminaire de sûreté 
(RPS) ;
- La procédure EPR ENG 3-37 fait référence au guide de rédaction des consignes CIA EPR dans sa version remplacée ;
- La procédure EPR ENG 3-40 fait référence à la note d'organisation du jeu de règles de CIA dans sa version remplacée et au guide de rédaction des consignes CIA EPR dans sa version remplacée.

Je vous rappelle les dispositions de l'article 2.5.6 de l'arrêté INB [2] : « Les activités importantes pour la protection, leurs contrôles techniques, les actions de vérification et d'évaluation font l'objet d'une documentation et d'une traçabilité permettant de démontrer a priori et de vérifier a posteriori le respect des exigences définies. Les documents et enregistrements correspondants sont tenus à jour, aisément accessibles et lisibles, protégés, conservés dans de bonnes conditions, et archivés pendant une durée appropriée et justifiée ». Demande A13 : Je vous demande de mettre à jour les documents correspondants aux activités de conception et de modification de la conduite incidentelle-accidentelle.

## B. Compléments D'Informations Validation Des Documents Opératoires Et Retour D'Expérience Des Essais De Démarrage Sur Site

Le processus d'élaboration des documents opératoires de conduite incidentelle-accidentelle rappelé dans la note [9] inclut une phase de validation locale sur site appelée « validation à blanc ». Cette phase induit une interaction entre le service FCS d'Edvance et le service sûreté qualité (SSQ) du CNPE de Flamanville 3. La validation à blanc des consignes CIA sur site a révélé un nombre important de POC issus des tests sur le MCS (moyen de commande de secours) proportionnellement aux POC issus des tests sur le MCP (moyen de commande principal). Le MCS n'est pas répliqué à Edvance, il est modélisé sur écrans.. L'identification tardive des anomalies dans le processus de validation questionne sur les moyens mis en œuvre en amont par Edvance pour piéger ces anomalies.

Les essais de démarrage, bien qu'ils ne soient pas prévus à cet effet, ont par ailleurs permis de relever des lacunes qui ont un impact prépondérant sur la conduite incidentelle-accidentelle. Les lacunes détectées, notamment dans la conduite du transitoire de basculement de l'alimentation électrique de la tranche du transformateur de soutirage vers le transformateur auxiliaire , ont amené les inspecteurs à s'interroger sur la couverture des tests de validation des consignes CIA qui n'ont pas permis d'anticiper la découverte de ces lacunes. De manière générale, les inspecteurs constatent que plusieurs anomalies impactant les procédures de conduite CIA ne sont piégées que tardivement dans le processus d'élaboration de ces documents (essais de démarrage, validation à blanc). Dans ces conditions, le caractère applicable des documents de conduite en situation d'incident ou d'accident pourrait être remis en cause. Demande B1 **: Je vous demande de me transmettre le processus décisionnel vous permettant** d'apprécier le caractère applicable d'un jeu de consignes CIA. Vous me transmettrez aussi l'ensemble des indicateurs sur lesquels se base ce processus.

## C. Observations Examen Par Sondage De Plusieurs Fmp Et Poc

Les inspecteurs ont examiné plusieurs FMP et POC. Ils ont constaté que dans le pôle « règle » tous les agents peuvent être vérificateur ou chargé du traitement des FMP/POC, sauf les nouveaux arrivants qui ne peuvent pas être vérificateurs. Une montée en compétence de ces derniers est organisée via des compagnonnages avec tutorat et des formations notamment sur simulateur ce qui permet aux personnes formées de voir la transversalité des règles et la manière dont elles s'articulent les unes avec les autres. Cependant il faudra formaliser ces procédés de montée en compétence afin d'améliorer la qualité de la documentation de conduite incidentelle-accidentelle produite par EDF.